el menú clásico de NoScript en Firefox
active Content BlockingEdit
de forma predeterminada, NoScript bloquea el contenido web activo (ejecutable), que puede ser desbloqueado total o parcialmente por allowlisting un sitio o dominio desde el menú de la barra de herramientas de la extensión o haciendo clic en un icono de marcador de posición.
en la configuración predeterminada, el contenido activo se deniega globalmente, aunque el usuario puede darle la vuelta y usar NoScript para bloquear contenido no deseado específico., El allowlist puede ser permanente o temporal (hasta que el navegador se cierre o el usuario revoque los permisos). El contenido activo puede consistir en JavaScript, fuentes web, códecs multimedia, WebGL y Flash. El complemento también ofrece contramedidas específicas contra exploits de seguridad.
debido a que muchos ataques de navegador web requieren contenido activo que el navegador normalmente ejecuta sin duda, deshabilitar dicho Contenido por defecto y usarlo solo en la medida en que sea realmente necesario reduce las posibilidades de explotación de vulnerabilidades., Además, no cargar este contenido ahorra un ancho de banda significativo y derrota algunas formas de seguimiento web.
noscript también es útil para los desarrolladores para ver qué tan bien funciona su sitio con JavaScript desactivado. También puede eliminar muchos elementos web irritantes, como los mensajes emergentes en la página y ciertos muros de pago, que requieren JavaScript para funcionar.
noscript toma la forma de un icono de barra de herramientas o icono de barra de estado en Firefox. Se muestra en cada sitio web para indicar si NoScript ha bloqueado, permitido o permitido parcialmente los scripts para ejecutarse en la página web que se está viendo., Al hacer clic o pasar el cursor del ratón sobre el icono de NoScript (desde la versión 2.0.3rc1), el usuario tiene la opción de permitir o prohibir el procesamiento del script.
la interfaz de NoScript, ya sea accedida haciendo clic derecho en la página web o el cuadro distintivo de NoScript en la parte inferior de la página (por defecto), muestra la URL del script(s) que están bloqueados, pero no proporciona ningún tipo de referencia para buscar si un script determinado es seguro de ejecutar., Con páginas web complejas, los usuarios pueden enfrentarse a más de una docena de URL crípticas diferentes y una página web no funcional, con solo la opción de permitir el script, bloquear el script o permitirlo temporalmente.
El 14 de noviembre de 2017, Giorgio Maone anunció NoScript 10, que será «muy diferente» de 5.x, y utilizará la tecnología WebExtension, por lo que es compatible con Firefox Quantum. El 20 de noviembre de 2017, Maone lanzó la versión 10.1.1 para Firefox 57 y superior. NoScript está disponible para Firefox para Android.
Protección Anti-XSSEDITAR
el 11 de abril de 2007, NoScript 1.,1.4.7 fue lanzado públicamente, introduciendo la primera protección del lado del cliente contra Tipo 0 y tipo 1 Cross-site scripting (XSS) jamás entregada en un navegador web.
cada vez que un sitio web intenta inyectar código HTML o JavaScript dentro de un sitio diferente (una violación de la política del mismo origen), NoScript filtra la solicitud maliciosa, neutralizando su carga útil peligrosa.
características similares han sido adoptadas años más tarde por Microsoft Internet Explorer 8 y por Google Chrome.,
Application Boundaries Enforcer (ABE)Edit
Application Boundaries Enforcer (ABE) es un módulo NoScript incorporado destinado a endurecer las protecciones orientadas a aplicaciones web ya proporcionadas por NoScript, al entregar un componente similar a un firewall que se ejecuta dentro del navegador.
Este «firewall» está especializado en definir y proteger los límites de cada aplicación web sensible relevante para el usuario (por ejemplo, plug-ins, webmail, banca en línea, etc.), de acuerdo con políticas definidas directamente por el usuario, el desarrollador/administrador web o un tercero de confianza., En su configuración predeterminada, ABE de NoScript proporciona protección contra ataques de rebinding CSRF y DNS dirigidos a recursos de intranet, como enrutadores y aplicaciones web confidenciales.
ClearClick (anti-clickjacking)editar
La función ClearClick de NoScript, lanzada el 8 de octubre de 2008, evita que los usuarios hagan clic en elementos de página invisibles o «corregidos» de documentos o applets incrustados, derrotando todos los tipos de clickjacking (es decir, desde marcos y complementos).,
Esto hace de NoScript «el único producto disponible gratuitamente que ofrece un grado razonable de protección» contra los ataques de clickjacking.
HTTPS enhancementsEdit
NoScript puede forzar al navegador a usar siempre HTTPS al establecer conexiones a algunos sitios confidenciales, con el fin de evitar ataques man-in-the-middle. Este comportamiento puede ser activado por los propios sitios web, enviando el encabezado Strict Transport Security, o configurado por los usuarios para aquellos sitios web que aún no admiten Strict Transport Security.,
Las funciones de mejora HTTPS de NoScript han sido utilizadas por la Electronic Frontier Foundation como base de su complemento HTTPS Everywhere.
